Affrontare l'attacco “SubdoMailing”: come Red Sift ha identificato e neutralizzato proattivamente un nuovo rischio per la nostra base di clienti

Nel mondo della cybersecurity è emersa una nuova minaccia. Conosciuta come “SubdoMailing”, questo nuovo attacco elude astutamente alcune delle protezioni che DMARC predispone per salvaguardare l'integrità delle email.

In questo blog ci concentreremo su come gli investimenti strategici fatti da Red Sift ci abbiano permesso di scoprire e proteggerci rapidamente da questo attacco. Vedremo nel dettaglio come siamo stati in grado di identificare questo attacco negli ambienti dei clienti e di assicurarci che tutti i nostri clienti fossero protetti entro 48 ore dalla diffusione pubblica dell'attacco.

Sebbene qui tratteremo alcuni dettagli sull'attacco, se stai cercando tutti i dettagli su come funziona questo attacco, consulta la nostra guida su SubdoMailing.

Un paio di settimane prima che l'attacco SubdoMailing venisse alla luce grazie a Guardio Labs, abbiamo scoperto quello che pensavamo fosse un incidente isolato: mittenti malevoli che superavano i controlli SPF e inviavano email in modo fraudolento per conto di uno dei nostri clienti.

In un'istanza cliente di Red Sift OnDMARC, abbiamo notato che la posta proveniva da un mittente con una pessima reputazione e da un sottodominio che sembrava non correlato al dominio principale del nostro cliente. Questo sottodominio aveva un CNAME e puntava a un record SPF che autorizzava servizi che non avevamo mai visto. Analizzando gli include e gli IP, tutto sembrava sospetto.

Esempi di email inviate per conto del nostro cliente con una pessima reputazione ma che superano completamente il controllo SPF

Abbiamo avvisato il nostro cliente e chiesto al team di verificare nuovamente che il sottodominio da cui veniva inviata la posta fosse legittimo. Il cliente ha confermato che non lo era e ha eliminato il sottodominio.

Abbiamo iniziato a lavorare su metodi automatizzati per identificare casi come questo, in cui DMARC e SPF erano configurati correttamente, ma qualcuno aveva approfittato di record obsoleti, dimenticati o mal configurati che erano stati erroneamente inclusi nel DNS per inviare spam. Ci siamo rese conto che questo approccio poteva essere sfruttato più ampiamente, poiché capitalizzava sulla scarsa igiene dei record DNS.

Dopo questo primo esempio, abbiamo notato una manciata di casi aggiuntivi di quelli che abbiamo iniziato a chiamare record SPF “avvelenati” apparire nel DNS dei clienti. Tuttavia, la vera portata di ciò a cui ci stavamo confrontando è diventata chiara quando Guardio Labs ha pubblicato i loro risultati su SubdoMailing.

In seguito ai risultati di Guardio, ci siamo rese conto di essere in una posizione unica per comprendere la portata di questo attacco, grazie alle applicazioni, al nostro investimento nei dati di intelligence sulla cybersecurity e all'esperienza in materia di sicurezza che impieghiamo in tutta la nostra organizzazione. Abbiamo dovuto agire con urgenza per assicurarci che i nostri clienti fossero protetti.

In Red Sift, ci rendiamo conto che i giorni in cui bastava distribuire una patch per proteggersi da un attacco alla sicurezza sono per lo più superati. I nostri clienti stanno passando dalla gestione delle vulnerabilità alla gestione dell'esposizione: valutano continuamente la visibilità e lo stato di sicurezza di tutto il loro patrimonio digitale, sia attraverso vettori di attacco correggibili che non correggibili. Come si è visto nel caso di SubdoMailing, minacce una volta distinte stanno diventando sempre più interconnesse.

Per garantire che i nostri clienti abbiano le informazioni di cui hanno bisogno, abbiamo investito in flussi di segnali di intelligence sulla cybersecurity, come feed DNS passivi, canali di dati privati con fornitori chiave, feed di spam trap in tempo reale, informazioni sulle minacce e sulla reputazione a livello di IP e metadati ASN. Abbiamo ulteriormente rafforzato questo approccio con l'acquisizione strategica di Hardenize.

Questo è diventato il fondamento per comprendere l'impatto di SubdoMailing sui clienti.

Guardio ha riportato che i malintenzionati avevano sfruttato record CNAME abbandonati e istruzioni SPF include per essere in grado di inviare email fraudolente per conto di brand legittimi. Questo era coerente anche con i nostri risultati.

Il primo passo degli attaccanti per inviare email per conto di qualcun altro consisteva nell'esaminare i record DNS per trovare casi in cui un dominio era collegato a un altro tramite il record CNAME. Se un sottodominio referenziato nel DNS era stato abbandonato, i malintenzionati lo riregistravano per poter ereditare la policy DMARC del dominio principale e combinarla con la propria fattoria di email.

Ad esempio, nella nostra stessa base di clienti, abbiamo riscontrato questo con record CNAME che puntavano a host Marketo abbandonati.

go2.{customerdomain}.com CNAME mkto-lon123456.com

Una volta completato il takeover del CNAME, gli attaccanti aggiungevano ai record SPF domini che erano stati dimenticati o rilevati, manipolando le istruzioni include .

Un esempio a cui siamo particolarmente affezionati è stato portato alla luce da Guardio Labs. Nella policy SPF di msnmarthastewartsweeps.com c'era quanto segue:

v=spf1 include:harrisburgjetcenter.com include:greaterversatile.com -all

Ciò significa che i mittenti nell'SPF di harrisburgjetcenter.com sono ora autorizzati a inviare per conto di msnmarthastewartsweeps.com e, forse in modo ancora più significativo, per conto di marthastewart.msn.com.

(Si prega di notare che, a partire dal 12 marzo 2024, harrisburgjetcenter.com e greaterversatile.com sono stati rimossi.)

Utilizzando gli include sospetti che avevamo osservato internamente negli ambienti dei clienti e gli esempi portati alla luce da Guardio come harrisburgjetcenter.com, abbiamo iniziato a compilare un elenco di domini che sospettavamo fossero stati armati per inviare posta fraudolenta.

Siamo stati in grado di ampliare ulteriormente questo elenco analizzando il nostro flusso di dati interno che esamina 70 milioni di domini apex ogni giorno. Parte di questo flusso di dati include la scoperta di SPF, che utilizziamo tipicamente per individuare servizi di invio legittimi. Ma in questo caso, ci siamo rese conto che potevamo usarlo per scoprire servizi di invio probabilmente fraudolenti.

Combinando questi segnali con i dati di registrazione dei domini e i feed DNS passivi, abbiamo iniziato a identificare i pattern che indicavano che un dominio veniva utilizzato per SubdoMailing. Visualizzando i cambiamenti DNS nel tempo per domini specifici, possiamo iniziare a vedere quando inizia a manifestarsi un comportamento anomalo e quindi quando i domini vengono dirottati.

Prendiamo l'esempio di greaterversatile.com (un dominio SPF avvelenato segnalato da Guardio). Possiamo vedere cambiamenti molto normali nel tempo, con record TXT che si verificano occasionalmente nel periodo precedente alla campagna SubdoMailing – rappresentati dai punti blu. Tuttavia, alla fine del 2023 e all'inizio del 2024 osserviamo un'ondata di attività in cui l'NS viene modificato – rappresentato dal punto rosa – e un numero eccessivo di modifiche TXT che raramente si verificherebbero in una circostanza legittima.

Cercare pattern come questi ci ha permesso di confermare che le nostre ipotesi sui sottodomini dirottati erano corrette. Possiamo prendere uno dei nostri domini sospetti e verificare la presenza di attività DNS anomale, come nel caso di jacksonbox.com.

Questa è stata la base della nostra “lista dei domini noti come malevoli” – che comprende i domini principali utilizzati per SubdoMailing. Continuando ad analizzare questi dati più a fondo, la nostra lista cresce ogni giorno.

Una volta ottenuta la nostra “lista dei domini noti come malevoli”, siamo stati in grado di utilizzare Red Sift ASM per esaminare in modo programmatico i record SPF di tutti i nostri clienti e verificare se qualcuno dei loro SPF include fosse avvelenato.

Abbiamo scoperto organizzazioni di tutte le dimensioni, regioni e mercati che erano state colpite e ci siamo subito attivati per informarle e porre rimedio alla situazione. Abbiamo comunicato con tutti i clienti impattati entro 24 ore dalla pubblicazione del rapporto iniziale di Guardio. Abbiamo poi collaborato a stretto contatto per aiutare i clienti impattati a rimuovere i record entro 48 ore dalla pubblicazione del rapporto.

Se ti stai chiedendo se sei stato colpito da SubdoMailing, il punto di partenza migliore è Red Sift Investigate. Se Investigate dovesse rivelare la presenza di “SubdoMailer” – conosciuti anche come include avvelenati – il Red Sift SPF Checker ti permette di visualizzarli in un “albero SPF” dinamico, consentendoti di individuare rapidamente dove si trovano e accelerare gli interventi di risoluzione.

Abbiamo distillato tutti i nostri risultati dalla nostra “lista dei domini noti come malevoli” in modo che qualsiasi dominio al mondo possa essere verificato per controllare se i suoi SPF include siano avvelenati. Stiamo lavorando continuamente per ampliare l'elenco – è cresciuto del 500% in una settimana e troviamo nuovi domini ogni giorno.

Per i clienti Red Sift, i nostri team hanno lavorato incessantemente per implementare le funzionalità di protezione contro SubdoMailing. Siamo entusiasti di annunciare che queste funzionalità sono ora attive per i nostri clienti e segnaleranno automaticamente la presenza di eventuali domini utilizzati per SubdoMailing nel tuo ambiente DMARC.

E per le aziende che desiderano essere più proattive nel monitorare i propri domini e sottodomini per prevenire in futuro questo tipo di attacco, assicurati di scoprire Red Sift ASM. Red Sift ASM effettua i controlli chiave necessari per prevenire minacce simili a SubdoMailing—monitoraggio della scadenza dei nomi di dominio per non perdere il controllo dei tuoi domini e individuazione di record e servizi abbandonati in modo da poter pulire il tuo DNS. La scoperta e il monitoraggio degli asset avvengono spesso in tempo reale, fornendo al tuo team informazioni importanti quando servono—non dopo giorni, settimane o mesi.

Per saperne di più su SubdoMailing e su come Red Sift ha scoperto e protetto i suoi clienti da questo attacco, iscriviti al briefing live on-demand qui sotto.